Ongecontroleerde bankadressen maken misbruik van iDIN-koppelingen mogelijk

Banken controleren adreswijzigingen niet: iDIN-systeem vatbaar voor misbruik

De manier waarop identificatiedienst iDIN bij belangrijke diensten werd geïmplementeerd, maakte het eenvoudig om gevoelige informatie over Nederlanders in te zien. Banken controleren niet of een door een klant gewijzigd adres daadwerkelijk klopt. Tweakers kon daardoor een ander adres via iDIN als eigen adres laten doorgeven en vervolgens onder meer zien welke poststukken iemand ontvangt en wat het energiegebruik op dat adres was. Sommige diensten hebben naar aanleiding van de ontdekking hun iDIN-implementatie aangepast of uitgezet om misbruik door kwaadwillenden te voorkomen.

Dat blijkt uit onderzoek van Tweakers naar aanleiding van de ontdekking van het probleem door tweaker Emile Nijssen.

Zo konden klanten van ING via de bankapp een ander adres registreren zonder bewijs dat de rekeninghouder daar woonde. Dat adres werd vervolgens via iDIN aan andere diensten doorgegeven. Na navraag bleek dat dit ook kan bij alle banken die op iDIN zijn aangesloten.

Adres spoofen

Een van die diensten was MijnPost van PostNL. Bewoners kunnen zich daar aanmelden om te zien welke poststukken zij ontvangen. Daarvoor moeten ze hun adres opgeven. PostNL verifieert dat met iDIN. Iemand die een adres via iDIN spooft, kan zo via MijnPost zien welke poststukken een slachtoffer ontvangt. Die kunnen gevoelige informatie bevatten.

Tweakers heeft ook andere scenario's getest. Zo kunnen gebruikers bij energieverbruiksvergelijkers het verbruik van voorgaande jaren opvragen. Websites zoals gaslicht.com gebruiken iDIN om op te vragen waar iemand woont en zo gegevens van netbeheerders te tonen.

Ook kunnen gebruikers een nieuwe digitale afvalpas aanvragen en zo namens anderen afval wegbrengen. Er zijn meer van zulke implementaties waarbij het spoofen van een adres daardoor problemen of privacyrisico's kan opleveren.

Wat is iDIN?

IDIN is een Nederlandse identificatiedienst die is ontwikkeld door de Betaalvereniging Nederland in samenwerking met nationale banken en sinds 2016 actief is. De dienst gebruikt een koppeling met de grote Nederlandse banken om de identiteit van een gebruiker te verifiëren. In tegenstelling tot opvolger Itsme en tegenhanger DigiD bewijst de gebruiker niet direct aan iDIN zelf wie hij is, maar via zijn eigen bank. De aanname erachter is dat banken verifiëren wie een gebruiker is. Inloggen via het beveiligde systeem van banken moet aantonen dat de bank de identiteit van de gebruiker al heeft geverifieerd.

Geen garanties van banken

De Betaalvereniging Nederland, de brancheorganisatie voor financiële instellingen, erkent dat er bij een adreswijziging geen extra controle plaatsvindt. "De banken hebben geen toegang tot bijvoorbeeld de Basisregistratie Personen (BRP) om te controleren of een gebruiker op het nieuwe adres woont dat is ingevoerd. Wij moeten daarop vertrouwen", schrijft de brancheorganisatie in een reactie aan Tweakers. "Als gebruikers er misbruik van maken en daarvan wordt aangifte gedaan, kan een bank de relatie met de klant zonodig helemaal opzeggen."

Gebruikers kunnen echter moeilijk achterhalen wanneer iemand deze kwetsbaarheid heeft uitgebuit. De pakkans is dus laag.

ING zegt in een afzonderlijke reactie tegen Tweakers dat het weet dat adresgegevens via iDIN niet altijd actueel en correct zijn: "Binnen de afspraken rond iDIN geldt dat ING niet kan garanderen dat deze gegevens, waaronder het adres, altijd actueel en correct zijn."

Andere banken bevestigen dat. "Onze klanten kunnen in de Rabo App gemakkelijk zelf hun nieuwe adres doorgeven. De wijziging van het adres wordt daardoor direct verwerkt in het klantprofiel", schrijft de Rabobank in een reactie. ABN AMRO zegt dat ook.

Op de website van iDIN staat dat gebruikers zelf verantwoordelijk zijn voor het doorgeven van het juiste adres. "Kloppen de gegevens niet (of deels), dan moet u dit laten aanpassen bij uw bank. De manier waarop verschilt per bank. Neem daarom contact op met uw eigen bank." Dat gaat dus wel voorbij aan de mogelijkheid van kwaadwillig gebruik.

Diensten zetten adresverificatie uit

Meerdere diensten hebben adresverificatie via iDIN inmiddels uitgezet. PostNL schrijft in een reactie: "Naar aanleiding van recente signalen hebben we uit voorzorg het proces voor adresverificatie aangepast. Op dit moment kunnen gebruikers hun adres niet via iDIN verifiëren. Zij kunnen hiervoor gebruikmaken van een bestaande alternatieve methode via een brief met verificatiecode, die wordt toegestuurd."

Gaslicht.com doet hetzelfde. Een woordvoerder vertelt: "Wij gaan dit verder onderzoeken en we gaan hierover in gesprek met EDSN en iDIN." EDSN staat voor Energie Data Services Nederland. Die organisatie beheert en deelt energieverbruiksdata van netbeheerders.

EDSN gebruikt iDIN op grote schaal bij verschillende organisaties en zet de dienst nu uit, vertelt een woordvoerder: "We zetten de dienst uit en onderzoeken alternatieven."

Verder erkent het afvalinzamelbedrijf Avalex dat het iDIN gebruikt. Dat bedrijf geeft een digitale afvalpas uit op basis van iDIN-adresverificatie.

Een woordvoerder vertelt dat het bedrijf kijkt naar mogelijke maatregelen: "We zullen opnieuw kijken naar de mogelijkheden om de verificatie van het woonadres zo betrouwbaar mogelijk uit te voeren. Daarbij zullen we beoordelen of aanvullende maatregelen nodig en proportioneel zijn om mogelijk misbruik verder te beperken."

Reactie iDIN

IDIN is sinds vorig jaar onderdeel van het Belgische Itsme. Itsme zegt in een reactie aan Tweakers dat bedrijven iDIN op de juiste manier moeten implementeren. Vertrouwen op een adres als verificatiemethode is daarbij niet altijd voldoende.

Volledige reactie van iDIN-beheerder Itsme

"IDIN is niet ontworpen of gepresenteerd als een zelfstandige garantie dat iemand daadwerkelijk op een bepaald adres woont. IDIN geeft bij een adresuitvraag het adres door dat bij de bank van de gebruiker bekend is. Voor organisaties die zekerheid over het huidige adres nodig hebben, is het dan ook wenselijk om aanvullende controles uit te voeren."

"Identificatie kan alleen worden benaderd vanuit de identiteit van de gebruiker. De voorbeelden uit het onderzoek onderstrepen dan ook dat alleen de bevestiging van het woonadres van een persoon onvoldoende zekerheid biedt. Daarvoor zijn ook andere gegevens nodig, zoals een geverifieerde naam."

_{Redactie: Lumen Heijdendael, Yannick Spinner • Eindredactie: Monique van den Boomen}

Update, vrijdag – In het artikel stond aanvankelijk niet vermeld dat iDIN is ontwikkeld door de Betaalvereniging Nederland in samenwerking met Nederlandse banken. Ook hebben we verduidelijkt hoe iDIN verschilt van DigiD en Itsme. Dit is toegevoegd.

Reacties (74)

[Jeffrex]

Ik vind het maar raar dat organisaties IDIN hiervoor gebruiken. IDIN is om je te identificeren. Niet om je adresgegevens te verifiëren. Deze partijen hebben zitten slapen en onvoldoende onderzoek gedaan. Daadwerkelijk checken wie iemand is en leeftijd lijkt mij het primaire doel. Dat heeft de bank ook gecontroleerd en vastgelegd. Maar alle informatie die personen kunnen aanpassen zouden gewoon niet gedeeld mogen worden om fraude tegen te gaan. Nu zullen mensen in de meeste gevallen hun eigen adres opgeven. Misschien dat banken ook alert kunnen zijn als klanten vaak van adres wisselen? Neemt mijn punt niet weg dat wat mij betreft het adres checken enzovoort niet het doel is van IDIN. Dan denk ik eerder aan een soort oplossing via DigiD waar daadwerkelijk via de overheid de adres gegevens geverifieerd kunnen worden.

[trab_78]

Als iDIN niet geschikt is om adressen te verifiëren, dan moet iDIN dus ook geen adressen teruggeven via hun API. Ik vind het te makkelijk om te zeggen dat de implementerende partijen hebben zitten te slapen. Dat die gegevens worden doorgegeven door die API impliceert een bepaalde status.

[Jeffrex]

Nou dat lijkt mij niet. Je doet onderzoek welke gegevens je krijgt en hoe die tot stand komen. Zeker als het gaat om dit soort gevoelige informatie. In het geval van PostNL had PostNL kunnen nagaan hoe banken checken wat het adres is van hun klanten. Dat checken ze dus niet (goed). Dus dan hebben ze toch zitten slapen naar mijn mening.

[LOTG]

Ik ben het wel eens met @trab_78, je maakt gebruik van een dienst die identiteit moet vast stellen en dan moet je er ook van uit kunnen gaan dat de gegevens kloppen. Nu krijg je adres gegevens die dus blijkbaar geen enkel doel dienen aangezien ze niet gevalideerd zijn.

ItsMaybeMe?

[Jeffrex]

Precies. Identiteit. Identiteit is niet hetzelfde als adresgegevens. Identiteit stelt de bank vast. De rest niet. Ze zullen het ongetwijfeld als mooie extra hebben toegevoegd. Maar het klopt niet en is fraude gevoelig. Dat is niet oké van IDIN maar ook zeer naïef van de partijen die de data gebruiken.

[trab_78]

Ja, achteraf gezien klinkt jouw logica heel goed. Maar stel je de product owner of engineer eens voor die de documentatie leest: "O, ze bieden ook adresgegevens, da's handig!" Als er dan niet expliciet bij staat dat deze gegevens niet geverifieerd zijn, vind ik het onredelijk om te verwachten van zo'n implementatie-team om dan te gaan navragen bij die banken of ze die adressen verifiëren.

[Jeffrex]

Misschien is dat dan ook het probleem dat iedereen klakkeloos overneemt. Ik check als informatiemanager toch altijd waar gegevens vandaan komen over koppelingen die buiten onze eigen organisatie liggen. Zeker als dit gevoelige informatie is, hoe de gegevens dan tot stand zijn gekomen. Is helemaal geen rocket science. Gewoon een paar simpele vragen stellen en je weet het. Zouden echt meer partijen moeten doen.

[trab_78]

Ja, dat ben ik met je eens. Maar nogmaals: dat ontslaat iDIN/Itsme niet van zijn plichten. Zij hadden op zijn minst transparanter en duidelijker moeten zijn over de status van deze adresgegevens. En eigenlijk hadden ze zichzelf moeten afvragen of ze ze überhaupt zouden moeten aanbieden. Dat ze nu simpelweg zeggen dat het aan de implementaties ligt is te makkelijk. Een framing die ze goed uitkomt natuurlijk, maar er is heus wel wat op hen aan te merken.

[NiGeLaToR]

De afnemers gebruiken iDIN hier verkeerd, maar iDIN communiceert zelf ook tegenstrijdig.

Het productsheet onderscheidt geverifieerde identiteitsgegevens van gegevens die de gebruiker zelf verstrekt. Het woonadres valt onder die tweede categorie.

Maar de officiële consumententekst zegt: “U identificeert zich namelijk met uw gegevens die zijn gecontroleerd door de bank.” Direct daarna wordt ook het woonadres genoemd. Dat is geen expliciete garantie van bewoning, maar wekt wel de indruk dat het adres gecontroleerd is.

Daarom vind ik het te makkelijk om dit uitsluitend als een verkeerde verwachting van afnemers te behandelen. En een geverifieerde naam toevoegen lost de kern niet op: die bewijst nog steeds niet dat iemand op het zelf opgegeven adres woont.

[Skit3000]

"Vroeger" stuurde PostNL je per post een briefkaart met daarop de code die je nodig had om in de app je adres te bevestigen. Mensen kunnen nu wel verontwaardigd doen over deze zwakheid in iDIN, maar als banken hetzelfde zouden doen bestaat er nog steeds de mogelijkheid dat iemand die briefkaart onderschept en op die manier zich alsnog als jou voor kan doen. Het risico dat dat bij willekeurige klanten gebeurt zal dan waarschijnlijk wel lager zijn, maar tegelijkertijd verplaatst dat de aandacht van criminelen naar rijke mensen. Die vragen dan een adreswijziging aan voor een rijk iemand uit Bloemendaal en Wassenaar naar de buurt waarin ze zelf post bezorgen, onderscheppen de brief van hun bank en gebruiken de code om online de adreswijziging te bevestigen. Daarna vragen ze een nieuwe pinpas aan en gebruiken ze die om te authenticeren bij internetbankieren om zo miljoenen van de rekening weg te sluizen.

En ja, banken zouden misschien direct toegang kunnen krijgen tot de BRP, maar ook daar kan je een verhuizing doorgeven per post.

https://www.rijksoverheid.nl/vraag-en-antwoord/gemeenten/hoe-kan-ik-mijn-verhuizing-doorgeven-aan-de-gemeente

[R4gnax]

IDIN is een Nederlandse identificatiedienst die

Belgisch.
IDIN is een Belgische identifiedienst die opereert in Nederland.
IDIN is tegenwoordig van Itsme - dezelfde partij waar in België zoveel wantrouwen van was dat de Belgische overheid met een eigen intern ontwikkeld alternatief platform is moeten komen voor digitale identificatie.

[Reactie gewijzigd door R4gnax op 7 oktober 2026 21:28]

[qless]

De overheid heeft een eigen alternatief platform gebouwd vanwege de kosten die aan Itsme betaald moesten worden en omdat het wenselijk was dat er een (eigen) alternatief was voor het commerciele itsme.

[ComputerGekkie]

Maar waar is IDIN dan wel nuttig voor in dit geval? Ik heb zelf altijd begrepen dat het idee was dat de bank die gegevens al eens heeft gecontroleerd en het zinloos is als iedere partij dat nog eens gaat doen.

Als je niet uit kan gaan van de betrouwbaarheid van die gegevens, welk nut dient het dan?

[Reactie gewijzigd door ComputerGekkie op 7 oktober 2026 17:26]

[Brent]

Ik heb het altijd een vreemde dienst gevonden. Banken, blijf bij je leest.

[ronansoleste]

In de noordelijke landen is het de standaard. Je certificeert ala iDIN je gegevens voor allerlei zaken daar. Een beetje een crossover van iDIN en digid zeg maar. Had opzich het prima gevonden als dat hier ook was geweest. Maar digid is wel logischer uiteindelijk

[Alxndr]

DigiD is alleen voor (semi)overheids instellingen en dat moet je zo willen houden. In deze tijd is het volgens mij gewoon schandalig dat banken hun zaken niet op orde hebben.

[ronansoleste]

Dat weet ik. Maar ben het niet per se met je eens. Ik zou graag een digiD hebben voor de publieke sector vooral. Dat hoeft natuurlijk niet in digid zelf maar voor identificatie wel handig aangezien het er al is en een goed stabiel product is.

iDin is een heel oud systeem dat al jaren niet meer echt aan ontwikkeling heeft. Mijn bank heeft het om die reden al jaren geleden afgedaan. Het is gewoon enorm verouderd.

[Reactie gewijzigd door ronansoleste op 7 oktober 2026 20:28]

[Brent]

Een nationaal schema is hoe dan ook achterhaalt.

[Bedge85]

Ik heb in het verleden leeftijdsverificatie voor een online drankhandel geïmplementeerd op basis van iDIN. Ik vermoed dat iDIN daarvoor nog steeds betrouwbaar en bruikbaar voor is.

Gaat in principe heel netjes via iDIN waarbij je als afnemer enkel de informatie via iDIN ontvangt die nodig is. In de situatie van de drankenhandel kregen we enkel door of een gebruiker 18+ is en verder geen adres informatie of geboortedatum.

[The-Source]

Bij de odido hack bijvoorbeeld dat je geen ID informatie moest afstaan. Voor andere zaken nog niet veel nuttige redenen gezien

[Floris4970]

Ik was laatst verhuisd en wilde in postnl weer mijn post zien. Dus ik dacht ik meld me aan voor het nieuwe adres via Bunq. Maar daar stond nog het oude adres. Adres opnieuw ingevoerd in bunq en hoppa, kon zo door was binnen een paar tellen en zonder enige vorm van controle mogelijk

[racao]

Zag je voor die wijziging gewoon nog welke post er op je oude adres werd bezorgd door PostNL? Post aan de nieuwe bewoners? Lijkt me wel toch?

En zou dat stoppen als de nieuwe bewoner zich aanmeldt, of blijft de oud-bewoner dan nog steeds inzage hebben in de post die de nieuwe bewoner ontvangt? Dit is een privacy-aspect waarover ik vanaf dat ik deze dienst bij PostNL ben gaan gebruiken vragen heb...

Volgens mij heb ik deze vragen ook weleens voorgelegd aan de klantenservice, maar nooit een reactie op gekregen.

[Reactie gewijzigd door racao op 7 oktober 2026 22:43]

[Floris4970]

Nou.. je ziet post volgens mij alleen als jouw naam er op staat. Want post geadresseerd aan mijn vriendin zie ik ook in de app niet

[newpew]

Klopt, ergens dit jaar is het beleid veranderd dat je alleen post op je eigen naam kan zien. iDIN is voor PostNL dus eigenlijk nog steeds een goede oplossing, omdat ze naam en adres controleren en koppelen. Adres kan je wel wijzigen, maar je kan dan nog steeds niet andermans poststukken zien in de app.

[KWOAD]

Moeten banken niet gewoon iedere klant maar vertrouwen als die een adreswijziging doorgeeft? Bij de aanpassing van e-mail worden door goede accountsystemen ook e-mails verstuurd naar het oude (ter info) en nieuwe (voor verificatie) e-mailadres. Kan bij postadres ook op die manier. Fysieke post is wel wat duurder, maar ja, een postadres van je bank is ook wel belangrijk. En dan werkt IDIN wel goed.

[Kevinp]

En als je verhuist bent?

Of een woning moet kopen /verbouwen. Ik kon bv niet inloggen bij de hypohteek omdat mijn adres niet klopte omdat ik daar (nog) niet woonde.

Enige oplossing is degene die mensen hier ook hebben. Adres veranderen, inloggen en mogelijk weer terug veranderen omdat je anders andere issues hebt.

[KWOAD]

Als je verhuisd bent dan krijg je netjes een brief met verificatiecode op je nieuwe adres. En wellicht krijgen de inwoners van je oude adres ook een brief waar ze weinig mee kunnen zonder aanvullende informatie die de rekeninghouder wel kent.

[Kevinp]

Nooit gehad. en qua adres ben ik regelmatig verhuist recent. (of een hypotheek op een woning/adres waar ik nog niet woon) maar daar nooit iets van gezien.

[KWOAD]

Ik noem ook een voorstel hoe je dit proces zou kunnen verbeteren. Dit wordt nu inderdaad niet gedaan, en dat is aanleiding van dit artikel.

[CivLord]

Punt is dat dit probleem niet bestond op het moment dat iDin ontstond.
Iedereen had een heel goede reden om enkel het eigen adres aan de bank door te geven, omdat anders ook je bankafschriften naar het verkeerde adres verstuurd werden.
Inmiddels krijgen de meeste mensen geen papieren bankafschriften meer per post en kan het minder kwaad om een ander adres op te geven. Alleen heeft iDin er niet bij stilgestaan dat dat ook misbruikt kan worden.

[joco]

Een adreswijziging kun je toch vrij makkelijk valideren?

Niet direct veranderen, maar pas als je een code hebt ingevoerd die je per post op dat adres heb gekregen..

Natuurlijk zal dat ook wel te omzeilen zijn maar dat zal een stuk lastiger zijn

[Edgarz]

Ook die ouderwetse post met code kan redelijk simpel onderschept worden. Brievenbus hengelen is al zo oud als de weg naar Rome, vooral bij de groene boxen langs de weg.

[kodak]

De Nederlandse Betaalvereniging, de brancheorganisatie voor financiële instellingen, erkent dat er bij een adreswijziging geen extra controle plaatsvindt. "De banken hebben geen toegang tot bijvoorbeeld de Basisregistratie Personen (BRP) om te controleren of een gebruiker op het nieuwe adres woont dat is ingevoerd. Wij moeten daarop vertrouwen"

Ik hoop dan dat @WeeJeWel en @LumenHD ook contact hebben opgezocht met de toezichthouders. Want behalve dat de ontdekte problemen met andermans persoonsgegevens wettelijk niet zijn toegestaan is het wettelijk ook verboden om klakkeloos maar te doen alsof je als bank zelf geen controleplicht hebt voor je persoonlijke gegevens gaat verwerken.

Dit soort afschuiven van verantwoordelijkheid door bankmedewerkers is typerend voor hun incompetentie en onbetrouwbaarheid. Ze willen wel verdienen aan andermans gegevens maar als het op verantwoordelijkheid aan komt dan schuiven ze die af.

Begin dit jaar werd duidelijk dat de banken toegang willen tot het basisregister. Niet omdat ze zelf geen verantwoordelijkheid hebben, maar omdat ze goede controle belangrijk zouden vinden. Als het ze maar niet te veel moeite en geld kost. En dat is hier het probleem. De banken hebben maling aan hun wettelijke verantwoordelijkheid als het ze te veel moeite kost en geld kost. Ze hebben er zelf voor gekozen om de controles af te schaffen terwijl de wet niet minder streng is geworden om een correcte administratie te voeren, niet zomaar gegevens te vertrouwen, niet zomaar klanten te vertrouwen, niet zomaar eigen belang voorop te stellen als het gaat om andermans persoonlijke gegevens.

Het is 2026. Banken maken miljardenwinsten aan andermans geld en persoonlijke gegevens maar als er ook maar iets van die winst naar behoorlijke controles moet die ze prima kunnen (laten) uitvoeren als ze investeren dan zijn ze steeds heel zielig. Dan doen ze net alsof ze de basisprincipes die uit de wet bestaan en voortvloeien niet eens zouden hoeven toepassen. Oh wat hebben de bankiers met hun riante salarissen uit andermans geld en gegevens het toch zwaar dat ze moeite moeten doen om die winsten te maken en salarissen te behouden. Je geeft gewoon je klanten de schuld bij de eigen onwil en incompetentie.

[Reactie gewijzigd door kodak op 7 oktober 2026 21:02]

[La1974]

Je spreekt duidelijk vanaf de zijlijn. Beste stuurlui.

Als je kijkt wat banken uitgeven om aan de eisen van de overheid te voldoen zonder dat de overheid hier iets mee kan dan zou je schrikken.

De banken hebben inmiddels de opsporingstaken van de overheid overgenomen wat miljarden kost en niets oplevert. En dat voor een commercieel bedrijf.

De nieuwe AMLR (opvolger van de WWFT) gaat juli volgend jaar in terwijl nu al bekend is dat de wetgeving tegen dit tijd nog niet gereed is. Dat is onze overheid…

Maar volgend jaar krijgen banken toegang tot de BRP. Dit maakt het uitvoeren van de wettelijke taak een stuk beter uit te voeren.

[Boedje]

Maar volgend jaar krijgen banken toegang tot de BRP. Dit maakt het uitvoeren van de wettelijke taak een stuk beter uit te voeren.

Dit vooralsnog conceptbesluit voor toegang tot de BRP voor banken is expliciet voor de uitvoering van die wettelijke taken. Voor de andere lezers:Dit is dus niet bedoeld voor de verrijking van gegevens voor de iDIN verificatie.

[CivLord]

Wanneer één van die wettelijke taken de verificatie van de identiteit van hun klanten is, dan vormt het automatisch ook de basis van de gegeven voor iDIN.

[Boedje]

De banken mogen de BRP uitsluitend raadplegen ten behoeve van identificatie en verificatie van hun (potentiële) particuliere klanten. Dit vermindert de administratieve lasten en verkleint de kans op fouten. Het is niet toegestaan voor banken om de gegevens bijvoorbeeld t.b.v. commerciële doeleinden te gebruiken

Dit is hoe ik het interpreteer. Verificatie van persoonsgegevens versus (her)gebruik van opgeslagen geverifieerde gegevens voor commerciële doeleinden. IDIN is een commercieel middel want de inzet van iDIN verificatie kost de raadplegende geld. De hoogte van dit bedrag is afhankelijk van de uitvraag. Prijzen worden halverwege deze pagina vermeld.

Ik zie hier geen groen licht voor.

[CivLord]

Welke gegevens zou de bank verifiëren? Enkel de naam? Of ook de geboortedatum en adresgegevens?
Wanneer het meer dan enkel de naam is, dan zou de bank dus twee registraties bij moeten houden. Eén voor de KYC-registratie, waarvan ze het adres kunnen gebruiken voor de bankpost en één voor iDIN en het versturen van reclamefolders voor verzekeringen etc.

[Caelestis]

Dit maakt het uitvoeren van de wettelijke taak een stuk beter uit te voeren.

Ja het is zo ongelooflijk moeilijk voor ze... Ze hebben allemaal gewoon lukraak een paar invoer regels in hun apps gedaan en gaan er blind vanuit wat de gebruiker opgeeft.
Zo kunnen het misbruik niet makkelijker maken. En nou moeten we ze gaan vertrouwen met de BRP?

Dat is gewoon puur lak hebben aan het Wft om mee te beginnen.

[CivLord]

De banken hebben inmiddels de opsporingstaken van de overheid overgenomen wat miljarden kost en niets oplevert. En dat voor een commercieel bedrijf.

Dat is een interessante kijk op de zaak. Alsof de banken geen enkele verantwoordelijkheid voor hun dienstverlening zouden hoeven te hebben.

Volgens jouw logica zou een voedselfabrikant die hygiëneregels uit zou voeren ook voor eigen kosten de taak van de voedsel- en warenautoriteit hebben overgenomen.

[La1974]

Als meer dan 20% van je personeelsbestand bezig is met deze ene wettelijke taak lijkt me dat geen gezonde verhouding.

Natuurlijk hebben banken een verantwoordelijkheid. Heel veel verantwoordelijkheden. Maar de grenzen worden hier nadrukkelijk gedicteerd door een overheid die zelf niet de capaciteit heeft om dit te behappen.

De banken zijn volledig doorgeslagen in de controledrift. Maar dit komt alleen door de angst van de hoge boetes.

[kodak]

Ik stel nergens dat banken geen geld uitgeven. Maar het feit is wel dat banken prima geld hebben en kunnen uitgeven om deze controles wel zelf te (laten) doen maar dat weigeren.

Natuurlijk kunnen bankiers of anderen het onprettig vinden dat ze wettelijke plichten en taken hebben (een sluitende juiste administratie moeten hebben en daar veel inspanning voor moeten doen bestaat al heeel lang), dat neemt niet weg dat men die wettelijke eisen maar plichten horen uit te voeren in plaats van opzettelijk te negeren omdat men wat anders wil.

En zolang men geen bevoegdheid heeft om het op een andere manier te mogen en kunnen controleren is er dus geen enkele ruimte om dit te verzuimen. Zeker aangezien die eisen er zijn om te voorkomen dat men anderen de dupe laat zijn en men er zelf vervolgens ook nog eens een verdienenmodel van heef gemaakt.

[Wim Cossement]

Banken doen altijd huilie huilie wanneer het veel geld gaat kosten, zelfs al moet je alles zelf doen, ervoor betalen en is er quasi geen kantoornetwerk meer.
Weet je nog in 2008? Dat was een groot complot tegen de banken.
Het wordt tijd dat de toplui bij het ontlopen van hun verantwoordelijkheid als bedrijfsleiders gewoon ook de bak ingedraaid worden.

[DigitalDr]

Hé grappig. Ik wilde een paar dagen terug mijn nieuwe adres bevestigen aan PostNL, dit bleek met iDin te moeten. Toen heb ik mijn adres aangepast in mijn profiel bij de bank, waarbij het me al verbaasde dat er geen controle plaatsvond. Toen kreeg ik de wijziging doorgevoerd bij PostNL, waarna ik foto's kan zien van post die naar mijn adres onderweg is.

Heel vreemd eigenlijk. iDin is gebouwd op het idee dat banken betrouwbare gegevens bieden, maar als banken die gegevens niet controleren krijg je een hele idiote situatie.

[ManiacsHouse]

Maar dan moet je toch beveiligd toegang hebben tot bank? Dat kan toch niet iedereen zomaar doen op jouw rekening.

[Steno]

Het gaat erom... Ik vul in mijn bankomgeving jóuw adres in .. en tadaa ik kan doen alsof ík daar woon en bijv. post checken.

[TheMak]

Ja, je levert dan ook waterdicht bewijs dat je fraude pleegt.

[Ruuuuuubje]

Nee, dat was een tikfout, oepsie...

Iets met mijn oude postcode en het intypen op een numpad of zo, is meestal wel iets plausibel voor te bedenken.

[fastedje]

Wel als je er bewezen misbruik van maakt. Een typfout is menselijk (en zelfs een copilot kan dat prima) en op zichzelf zeker geen bewijs van misbrui/fraude.

[CivLord]

En hoe kan jij daar achter komen?

De bank denkt dat het klopt, de dienst die iDIN gebruikt denkt dat het klopt en jij krijgt niets te zien.
Maar ik kan bv. wel zien dat jij een brievenbuspakje van De Nederlandse Munt ontvangt van 200 gr. Dat is interessante informatie.
Nadat ik dat pakje uit je brievenbus gehengeld heb wijzig ik het adres bij mijn bank en in de Postnl-app weer terug en alle sporen zijn gewist. Natuurlijk weten mijn bank en Postnl dat ik twee keer mijn adres heb gewijzigd, maar hoe wil je dat linken aan een pakje dat jij nooit hebt ontvangen?
Mijn fantasie laat me nu even in de steek, maar het zou misschien ook schadelijk kunnen zijn wanneer iemand anders alleen maar weet dat je bepaalde post hebt ontvangen. (Behalve dat niemand hoeft te weten dat je regelmatig post van bv een kankerkliniek ontvangt.)

[CivLord]

Ik denk dat bij de introductie van iDIN het adres als een van de minder belangrijke/ minder foutgevoelige gegevens werd gezien. Toen zal post nog als bevestiging zijn gebruikt, waardoor iedereen er voor zorgde dat het eigen adres klopte.

[The Zep Man]

"Als gebruikers er misbruik van maken en daarvan wordt aangifte gedaan, zijn ze ook zeer makkelijk te traceren en zeggen de banken de relatie met die klant ook onmiddellijk op."

Dat is enkel reactieve beveiliging, niet preventief. Voor een systeem waarop anderen vertrouwen voor verificatie is alleen reactief niet voldoende. Voor een verificatiesysteem moet je... verifiëren, niet vertrouwen.

[Quilt]

Kon je zo ook de (historische) kwartierwaarden van andermans stroomverbruik zien?

[CivLord]

Nee. Enkel jaarverbruik.